Arctic Wolf Labs hat in Hunderten von Fällen ein wiederkehrendes Social-Engineering-Muster beobachtet, bei dem Angreifer die Funktion zur Erstellung externer Chats in Microsoft-Teams nutzen, um sich als vertrauenswürdige Personen auszugeben oder schädliche Dateien zu verbreiten. Dabei zeigt sich ein einheitliches Vorgehen: Die Angreifer verwenden wiederholt dieselben temporär angelegten Tenants, dieselben Anzeigenamen wie „IT Support (Internal)“, dieselben Fernzugriffstools und zunehmend auch dieselben Domains zur Bereitstellung ihrer Schadsoftware.
Die wichtigsten Erkenntnisse im Überblick
- Arctic Wolf hat mehr als 400 Sicherheitsvorfälle analysiert, bei denen die externe Chatfunktion von Microsoft-Teams für Social-Engineering und den Erstzugriff auf Unternehmenssysteme missbraucht wurde.
- Die Angreifer setzten wiederholt auf nahezu identische Methoden, um sich als IT-Support auszugeben. Dazu gehörten IT-bezogene Anzeigenamen, vertrauenswürdig wirkende Vornamen und der Zusatz „(Internal)“, mit dem die Warnhinweise von Microsoft-Teams auf externe Nutzerinnen und Nutzer gezielt entkräftet werden sollten.
- Die Analyse zeigt eine schrittweise Veränderung der Angriffsinfrastruktur: Statt temporärer Tenants mit .onmicrosoft[.]com-Domains nutzen Angreifer zunehmend selbst kontrollierte Domains. Bei etwa der Hälfte der beobachteten Fälle mit kostenpflichtigen Domains handelte es sich um .top-Domains.
- Arctic Wolf erkennt diese Aktivitäten bereits in der Phase „ChatCreated“, also bei der Erstellung eines Chats. Dadurch entsteht ein Zeitfenster, in dem Angriffe erkannt und unterbunden werden können, bevor die betroffenen Mitarbeitenden überhaupt mit den Angreifern interagieren.
Info: Weitere Details finden sich im Blogpost.
#ArcticWolf
